Chiuse in PHP due vulnerabilità critiche individuate con l’aiuto dell’IA
Il 21 ottobre il team di sviluppo di PHP ha rilasciato aggiornamenti straordinari che correggono due vulnerabilità critiche. Le falle consentivano a un malintenzionato di eseguire codice arbitrario da remoto sul server, senza alcuna autenticazione. Sono state aggiornate le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Le vulnerabilità sono state individuate da esperti di sicurezza informatica con il supporto di modelli di intelligenza artificiale. Secondo OpenAI, la ricerca è stata condotta nell’ambito dell’iniziativa Patch the Planet. Il rischio riguardava le installazioni di PHP che elaborano richieste web, mentre il livello di esposizione dipendeva dalla configurazione del singolo server.
Una delle falle è legata al danneggiamento dello stato interno del sistema in caso di esaurimento della memoria. L’altra deriva dall’uso di dati obsoleti dopo la liberazione della memoria. Gli sviluppatori di PHP hanno indicato come scenario più pericoloso lo sfruttamento tramite mod_php, in cui l’attacco poteva partire ancora prima dell’esecuzione del codice dell’applicazione. In precedenza avevamo già riferito della correzione di due vulnerabilità critiche in PHP e dei primi attacchi rilevati.
La preparazione delle correzioni ha richiesto circa due mesi. Hanno partecipato gli sviluppatori di PHP, gli specialisti di Calif, Wiz e Cloudflare, nonché i rappresentanti dell’Agenzia statunitense per la cybersicurezza e la sicurezza delle infrastrutture (CISA) e della Casa Bianca. Le parti hanno coordinato i tempi della divulgazione in modo che sviluppatori e fornitori di software potessero rilasciare le patch prima dell’annuncio pubblico.
Sviluppatori e amministratori di server sono invitati ad aggiornare PHP senza indugio alle versioni corrette. Per verificare le versioni installate, OpenAI ha pubblicato su GitHub lo strumento diagnostico php2shell-checker.
OpenAI propone inoltre di adottare la procedura seguita come protocollo standard per la divulgazione delle vulnerabilità critiche individuate dall’IA. Secondo l’azienda, una procedura condivisa permetterà a sviluppatori, ricercatori e enti governativi di scambiarsi informazioni più rapidamente e di rilasciare le correzioni prima che i dettagli tecnici diventino di dominio pubblico.
